যে সপ্তাহে স্থানীয় রুটের পথ একসঙ্গে খুলে গেল — Linux কার্নেল LPE, প্রকাশ্য এক্সপ্লয়েট আসার সঙ্গে CISA-এর KEV ক্যাটালগে
18 সেপ্টেম্বর CISA 3টি সক্রিয়ভাবে শোষিত Linux কার্নেল ত্রুটি (CVE-2025-39682, CVE-2026-53266, CVE-2025-39964) KEV ক্যাটালগে যোগ করেছে এবং Red Hat নিশ্চিত করেছে যে প্রকাশ্য এক্সপ্লয়েট কোড আছে। একই দিনে, 4টি কার্নেল LPE-এর (DirtyAH6, TUNderflow, PPPoEject, DiagSpill) কার্যকর এক্সপ্লয়েট সমন্বিত প্রকাশের অধীনে প্রকাশিত হয়েছে। আমরা পরীক্ষা করি কেন শেয়ার্ড-হোস্ট বিশেষাধিকার বৃদ্ধি সীমানা যন্ত্রের পরে আলোচনায় আসছে।
এই নিবন্ধটি মেশিনে অনুবাদ করা হয়েছে।
18 সেপ্টেম্বর 2026-এ CISA সক্রিয় শোষণের প্রমাণের ভিত্তিতে 3টি Linux কার্নেল দুর্বলতা তার Known Exploited Vulnerabilities (KEV) ক্যাটালগে যোগ করেছে: CVE-2025-39682 (CVSS 9.8, কার্নেল TLS গ্রহণ পথে অনুপযুক্ত শর্ত পরীক্ষা, যা মেমরি প্রকাশ বা সেবা-অস্বীকার ঘটাতে পারে), CVE-2026-53266 (CVSS 8.8, netfilter ব্রিজ ebtables SNAT ARP পুনর্লিখন পথে সীমার বাইরে লেখা, যা স্থানীয় বিশেষাধিকার বৃদ্ধি সম্ভব করে), এবং CVE-2025-39964 (CVSS 7.8, একটি রেস কন্ডিশন যা একই AF_ALG সকেটে সমসাময়িক লেখার অনুমতি দেয়)। ফেডারেল বেসামরিক সংস্থাগুলোকে সংশোধন লাগানোর জন্য 21 সেপ্টেম্বর পর্যন্ত সময় দেওয়া হয়েছে। এই 3টির কোনোটির জন্যই CISA অভিযানের বিবরণ বা থ্রেট-অ্যাক্টর আরোপ প্রকাশ করেনি, এবং তারা একটি একক হামলা শৃঙ্খল গঠন করে কি না তা অস্পষ্ট। যা জানা: Red Hat 19 সেপ্টেম্বরের মধ্যে এই 3টির পরামর্শ হালনাগাদ করে বলেছে যে CVE উচ্চ ঝুঁকির এবং জানা প্রকাশ্য এক্সপ্লয়েট আছে, এবং উচ্চ-অগ্রাধিকার প্রতিকারের আহ্বান জানিয়েছে (The Hacker News, CISA, এবং Red Hat অনুসারে)।
একই দিনে, একটি আলাদা ধারা কার্নেল হামলার পৃষ্ঠকে প্রশস্ত করেছে। নিরাপত্তা গবেষক Asim Manizada জুলাইয়ের মাঝামাঝি Linux কার্নেল নিরাপত্তা দলকে 4টি স্থানীয় বিশেষাধিকার বৃদ্ধি (LPE) ত্রুটি জানিয়েছিলেন — DirtyAH6 (CVE-2026-80844, IPsec AH6), TUNderflow (CVE-2026-81000, TUN/TAP ভার্চুয়াল নেটওয়ার্ক ডিভাইস), PPPoEject (CVE-2026-68121, PPPoE), এবং DiagSpill (CVE-2026-74469, SCTP-এর sctp_diag)। 18 সেপ্টেম্বর, ডিস্ট্রিবিউশনগুলো যাতে সংশোধন পাঠাতে পারে সেই সমন্বিত থামার পর, তিনি কার্যকর এক্সপ্লয়েটসহ কারিগরি লেখা প্রকাশ করেছেন। এই 4টি বর্তমান কার্নেলে ঠিক করা আছে এবং বাস্তব ব্যবহারের কোনো প্রতিবেদন নেই। কিন্তু 4টির মধ্যে 3টি — DirtyAH6, TUNderflow, PPPoEject — ধরে নেয় যে অসুবিধাপ্রাপ্ত ব্যবহারকারী নেমস্পেস সক্রিয়, একটি সুবিধা যা অনেক ডিস্ট্রিবিউশন ডিফল্টে সক্রিয় করে; 4র্থটি, DiagSpill, SCTP মডিউল পাওয়া গেলে কোনো বিশেষ বিশেষাধিকার চায় না (The Hacker News-এর প্রতিবেদন অনুসারে)।
বিশ্লেষণ (তথ্য থেকে পৃথক): দুটি গল্পের একই দিনে নামা 'প্রবেশ' থেকে 'তারপর কী আসে'-এর দিকে জোরের বদল চিহ্নিত করে। গত সপ্তাহে এই পর্যবেক্ষণাগার ইন্টারনেট-মুখী সীমানা যন্ত্রের রুট আপস কভার করেছিল — Cisco ISE এবং Secure Email Gateway। সীমানা যন্ত্র নকশাতেই পৌঁছানো যায়, তাই 'এটি এক্সপোজড কি' প্রশ্ন নিজেই উত্তর দেয়; এই সপ্তাহের কার্নেল ত্রুটি সব স্থানীয়-প্রথম (দূরবর্তী ট্রিগার সংকীর্ণ ও ক্র্যাশ-কেন্দ্রিক)। আক্রমণকারীর দৃষ্টিতে যা গুরুত্বপূর্ণ তা হলো একটি শেয়ার্ড হোস্টে প্রাথমিক পা রাখা থেকে রুট পর্যন্ত পথের বাড়তি তালিকা। কন্টেইনার হোস্ট, CI রানার, বহু-ভাড়াটে সার্ভার, এবং এআই ওয়ার্কলোড পরিবেশ সবই এমন সম্পদ যাদের চালানোর ধারণা হলো 'এখানে একাধিক পক্ষ নিম্ন-বিশেষাধিকার শেল ধরে' — প্রতিটি প্রকাশ্য এক্সপ্লয়েট যা নামে তা পার্শ্ব চলাচলের খরচ কমায়। প্রকাশিত এক্সপ্লয়েটগুলো নির্দিষ্ট কার্নেল বিল্ড অনুসারে টিউন করতে হয় এবং মেশিন ক্র্যাশ করতে পারে বলে বলা হয়েছে; সেটি উন্নয়ন খরচের বিবৃতি, শোষণযোগ্যতার নয়।
প্রতিরক্ষামূলক তাৎপর্য: (1) 3টি KEV এন্ট্রি CISA-এর BOD 26-04-এর ফরেনসিক-ট্রায়াজ শর্তের অধীন, শুধু প্যাচিংয়ের নয় — প্যাচের আগের আপসের জন্য লগ পর্যালোচনা ভিত্তিরেখা। (2) ব্যবহারকারী নেমস্পেস অনেক ওয়ার্কলোডের জন্য জরুরি, কিন্তু যে সার্ভারগুলোর দরকার নেই সেখানে সেগুলো বন্ধ করা মূল্যায়নের যোগ্য: 4টি নতুন LPE-এর 3টি এই একটি ডিফল্ট সেটিং ধরে নেয় এই তথ্য দেখায় কার্নেল হামলার পৃষ্ঠের কতটা একটি কনফিগারেশন পছন্দের ওপর ঝোলে। (3) শেয়ার্ড হোস্টে, কাঠামোরই তালিকা করুন — ভাড়াটে বিচ্ছিন্নতা, ক্ষণস্থায়ী CI রানার, এআই ওয়ার্কলোডের বিচ্ছিন্নতা — প্রতি-CVE প্যাচিংয়ের পাশাপাশি, কারণ 'একজন রুট পেলে সবাই হারে' একটি নকশার বৈশিষ্ট্য, প্যাচ স্তর নয়। (4) কার্নেল-স্পেস আপস ব্যবহারকারী-স্পেস এজেন্টের কাছে অদৃশ্য থাকে বলে, eBPF-ভিত্তিক রানটাইম শনাক্তকরণ ও কার্নেল-অখণ্ডতা নজরদারি দিয়ে পূরণ করা একটি বাস্তবসম্মত বিকল্প। এখানকার তথ্য CISA-এর KEV সতর্কতা (https://www.cisa.gov/news-events/alerts/2026/09/18/cisa-adds-two-known-exploited-vulnerabilities-catalog), KEV সংযোজন নিয়ে The Hacker News-এর কভারেজ (https://thehackernews.com/2026/09/cisa-flags-three-linux-kernel.html) এবং 4টি LPE প্রকাশ নিয়ে কভারেজ (https://thehackernews.com/2026/09/public-exploits-released-for-four-linux.html), এবং Red Hat-এর পরামর্শ (https://access.redhat.com/security/cve/cve-2025-39682)-এর ওপর টানা। বিশ্লেষণকে প্রতিবেদন থেকে পৃথক রাখা হয়েছে।